UNIVERSIDAD COMPLUTENSE DE MADRID FACULTAD DE INFORMÁTICA TESIS DOCTORAL Técnicas Forenses y Anti-Forenses para el Análisis de la Integridad del Contenido y de la Fuente de Adquisición en Vídeos Digitales de Dispositivos Móviles MEMORIA PARA OPTAR AL GRADO DE DOCTOR PRESENTADA POR Carlos Quinto Huamán Directores Luis Javier García Villalba Ana Lucila Sandoval Orozco Madrid ©Carlos Quinto Huamán, 2020 UNIVERSIDAD COMPLUTENSE DE MADRID FACULTAD DE INFORMÁTICA TESIS DOCTORAL Técnicas Forenses y Anti-Forenses para el Análisis de la Integridad del Contenido y de la Fuente de Adquisición en Vídeos Digitales de Dispositivos Móviles MEMORIA PARA OPTAR AL GRADO DE DOCTOR PRESENTADA POR Carlos Quinto Huamán Directores Luis Javier García Villalba Ana Lucila Sandoval Orozco Madrid, 2020 Técnicas Forenses y Anti-Forenses para el Análisis de la Integridad del Contenido y de la Fuente de Adquisición en Vídeos Digitales de Dispositivos Móviles TESIS DOCTORAL Memoria presentada para obtener el título de Doctor por la Universidad Complutense de Madrid en el Programa de Doctorado en Ingeniería Informática Carlos Quinto Huamán Directores Luis Javier García Villalba Ana Lucila Sandoval Orozco Facultad de Informática Universidad Complutense de Madrid Madrid, Septiembre de 2020 Tesis Doctoral presentada por el doctorando Carlos Quinto Huamán en la Facultad de Informática de la Universidad Complutense de Madrid para la obtención del título de Doctor por la Universidad Complutense de Madrid en el Programa de Doctorado en Ingeniería Informática. Terminada en Madrid el 06 de Septiembre de 2020. Título: Técnicas Forenses y Anti-Forenses de Dispositivos Móviles para el Análisis de la Integridad del Contenido y de la Fuente de Adquisición en Vídeos Digitales de Dispositivos Móviles Doctorando: Carlos Quinto Huamán ([email protected]) Departamento de Ingeniería del Software e Inteligencia Artificial Facultad de Informática Universidad Complutense de Madrid 28040 Madrid, España Directores: Luis Javier García Villalba ([email protected]) Ana Lucila Sandoval Orozco ([email protected]) Esta tesis doctoral ha sido realizada dentro del grupo de investigación GASS (Grupo de Análisis, Seguridad y Sistemas, grupo 910623 del catálogo de grupos reconocidos por la UCM) como parte de las actividades del proyecto de investigación RAMSES (Internet Forensic Platform for Tracking the Money Flow of Financially-Motivated Malware) financiado por la Comisión Europea dentro del Programa Marco de Investigación e Innovación Horizonte 2020 (H2020-FCT-2015/700326-RAMSES). Adicionalmente, esta Tesis ha sido realizada como parte de las actividades del proyecto UCM THEIA (Techniques for Integrity and Authentication of Multimedia Files of Mobile Devices) (FEI-EU-19-04). La presente Tesis está dedicada a mi familia, en especial a mi hija. Agradecimientos En primer lugar, quiero expresar mi agradecimiento a mis directores Javier y Ana Lucila por el apoyo, dedicación, motivación y confianza que me han proporcionado todos estos años. Sin duda estos factores han sido fundamentales y sin ellos esta Tesis no habría sido posible. También agradezco infinitamente todas las facilidades brindadas como medios, materiales y recursos que pusieron a mi entera disposición para desarrollar mis actividades de investigación de forma permanente y eficiente. Además, quiero expresar mi gratitud a los dos porque no solo fueron importantes para la consecución de este objetivo, sino también para otros, que son trascendentales. Agradezco a todos los miembros del Grupo de Análisis, Seguridad y Sistemas (GASS) por su sincera amistad y apoyo incondicional en todo el proceso de elaboración de esta Tesis y por los grandes momentos que hemos compartido. Un especial agradecimiento a Daniel por su colaboración y sugerencias acertadas que permitieron hacer frente a múltiples dificultades en todo el proceso de investigación. No puedo olvidarme de agradecer a mi querida familia por su ánimo, apoyo, paciencia y comprensión. Gracias también al Programa Nacional de Becas y Crédito Educativo del Ministerio de Educación de Perú, por haberme otorgado los años necesarios para desarrollar tareas de investigación en el programa de doctorado. Finalmente, de manera especial agradezco al Ministerio de Defensa del Perú y en concreto al Ejército del Perú, que a través de la Dirección de Educación y Doctrina, Jefatura de Educación del Ejército, Dirección de Relaciones Internacionales y la Comandancia General del Ejército promovieron la autorización de viaje al exterior en misión de estudios para cursar el programa de Doctorado en Ingeniería Informática y formar parte del equipo investigador del proyecto RAMSES. Esta Tesis doctoral ha sido realizada dentro del grupo de investigación GASS (Grupo de Análisis, Seguridad y Sistemas, grupo 910623 del catálogo de grupos reconocidos por la UCM) como parte de las actividades del proyecto de investigación RAMSES (Internet Forensic Platform for Tracking the Money Flow of Financially-Motivated Malware) financiado por la Comisión Europea dentro del Programa Marco de Investigación e Innovación Horizonte 2020 (H2020-FCT-2015/700326-RAMSES). Adicionalmente, esta Tesis ha sido realizada como parte de las actividades del proyecto UCM THEIA (Techniques for Integrity and Authentication of Multimedia Files of Mobile Devices) (FEI-EU-19-04). xi Índice General Índice de Figuras XVII Índice de Tablas XIX Índice de Algoritmos XXI Lista de Acrónimos XXIII Abstract XXIX Resumen XXXI 1. Introducción1 1.1. Motivación....................................4 1.2. Objetivos de la Investigación..........................5 1.3. Identificación del Problema...........................6 1.4. Resumen de las Contribuciones.........................7 1.5. Estructura del Trabajo..............................8 2. Vídeos Digitales 11 2.1. Introducción.................................... 11 2.2. Importancia.................................... 12 2.3. Proceso de Generación.............................. 14 2.3.1. Sistemas de Lentes............................ 17 2.3.2. Matriz de Filtros de Color........................ 18 2.3.3. Tipos de Sensores............................ 20 2.3.3.1. Sensores CCD......................... 21 2.3.3.2. Sensores CMOS........................ 22 2.3.3.3. Sensores QIS.......................... 24 2.4. Compresión de Vídeos Digitales......................... 25 2.4.1. Tipos de Codificación.......................... 26 xiii xiv ÍNDICE GENERAL 2.4.1.1. Codificación Intra....................... 27 2.4.1.2. Codificación Inter....................... 27 2.5. Estándares de Codificación MPEG....................... 27 2.5.1. Estándar H.264/AVC.......................... 31 2.5.1.1. Formato de la Trama H.264.................. 32 2.5.1.2. Formato de Tren de Bytes.................. 33 2.5.2. Estándar H.265/HEVC......................... 33 2.5.3. Estándar H.266/VVC.......................... 35 2.6. Compresión de Audio.............................. 35 2.6.1. Codificación de Audio Avanzada.................... 38 2.7. Contenedores Multimedia............................ 39 2.7.1. Metadatos en Vídeos Digitales..................... 40 2.7.2. Contendores Multimedia MP4, MOV y 3GP.............. 41 2.7.3. Herramientas de Extracción de Átomos................ 45 2.8. Síntesis del Capítulo............................... 49 3. Análisis Forense en Vídeos Digitales 51 3.1. Introducción.................................... 51 3.2. Aprendizaje Automático para el Análisis Forense en Vídeos......... 52 3.3. Características para el Análisis Forense de Vídeos............... 53 3.4. Técnicas de Análisis Forense en Vídeos..................... 54 3.4.1. Técnicas de Identificación de la Fuente................. 55 3.4.2. Técnicas de Detección de Manipulaciones............... 57 3.4.2.1. Técnicas de Detección de Falsificación............ 58 3.4.2.2. Técnicas de Detección de Post-Procesamiento........ 59 3.4.2.3. Técnicas de Detección/Recuperación de Contenido Oculto. 62 3.5. Técnicas de Análisis Anti-Forense en Vídeos.................. 62 3.5.1. Camuflaje de Post-Procesamiento.................... 63 3.5.2. Destrucción de Características para Identificar el Origen....... 63 3.5.3. Falsificación de la Identidad de una Imagen.............. 63 3.6. Síntesis del Capítulo............................... 65 4. Análisis de la Estructura del Contenedor Multimedia 67 4.1. Descripción de la Técnica............................ 67 4.2. Generación del Conjunto de Datos de Vídeos Digitales............ 68 4.2.1. Características del Conjunto de Datos de Vídeos Originales..... 70 4.2.2. Características del Conjunto de Datos de Plataformas Sociales... 74 ÍNDICE GENERAL xv 4.2.3. Características del Conjunto de Datos de Programas de Edición... 75 4.2.4. Comparación con Otros Conjuntos de Datos.............. 76 4.3. Algoritmo de Extracción de Átomos...................... 77 4.4. Estructura del DataFrame............................ 79 4.5. Análisis y Resultados............................... 80 4.5.1. Evaluación del Algoritmo de Extracción de Átomos.......... 80 4.5.2. Análisis Individual de Vídeos...................... 84 4.5.3. Análisis Masivo de Vídeos........................ 87 4.5.4. Análisis de Valores y Metadatos.................... 94 4.6. Ataques Anti-Forenses sobre Contenedores Multimedia............ 102 4.7. Síntesis del Capítulo............................... 103 5. Detección de Post-Procesamiento de Vídeos 105 5.1. Descripción de la Técnica............................ 105 5.1.1. Preparación del Conjunto de Datos................... 106 5.1.2. Extracción de la Estructura